динамический IP и безопасность компа

Форумчане, я вас просил, чем может динамический безопасней чем статический, а вы про вирусы :O

Klim написал:

Форумчане, я вас просил, чем может динамический безопасней чем статический, а вы про вирусы

Вроде, вирусы непосредсвенное отношение к безопасности имеют, не надо нас упрекать в оффтопике.

А так, имхо, ничем не безопаснее.
Безопаснее если инет будет раздаваться проксей.

drBatty написал:

знаете чем плох статический? если вы поймаете вирус, который будет где-то гадить, вас там сразу забанят, и потом будет сложно разбанится.

Вот этим, пожалуй, хуже статический.
А еще, если будете буянить, то на форуме можно забанить по ай-пишнику (я без намеков, просто в пример).

Обход бана по ип это уже давно кучу вариантов.
На счёт бана да это серьёзно а вот на счёт ип просто не большой дискомфорт

Termo написал:

но классический вирус - это всё-таки вирус

ну да... в любом случае, "классических вирусов" уже давно не делают. Не нужно. Современные вирусы == средство зарабатывания денег, и потому гадят они везде. В т.ч. и в почту.

Klim написал:

я вас просил, чем может динамический безопасней чем статический,

ну я непонятно объяснил? ну ладно, по просьбе Termo замените "вирусы" на "вредоносное ПО".

хотя... Не согласен. Именно ВИРУСЫ. Пусть будет "современные неклассические вирусы" (СНКВ). Ну так вот, в линуксе нет СНКВ, а в венде есть СНКВ. (внимание! вредоносное ПО есть и в линуксе, но оно (пока) не распространяется само, как СНКВ).

Ну короче, если у вас линукс, вам не надо боятся СНКВ (конечно wine я не беру в расчёт, СНКВ там живут), а потому вас не забанят по статическому IP. И сервер вредоносный не поднимится сам по себе. И вычислить вас будет сложнее. Ибо врагу придётся найти ваш динамический IP, который в любой момент может поменяться.

bobr написал:

Вроде, вирусы непосредсвенное отношение к безопасности имеют, не надо нас упрекать в оффтопике.

вирус(СНКВ) основной инструмент злоумышленника.

На самом деле Мне кажется вопрос не в статике или динамике, а во внешности (белом IP) или внутренности (за натом провайдера/сером IP)...
у Меня например внешний(белый) динамический IP (обновляется раз в месяц, иногда в два), клиент обновляет его на DyDNS, и Я имею доступ к своему компу из любой точки планеты где есть доступ к интернет... но открыт ssh по некоторому порту, и это дыра определенного рода...

с точки зрения безопасности, Мне кажется внешний IP опаснее чем внутренний, особенно если разрешен доступ к каким-либо службам извне...

Чтоб не было доступа или доступ с определённым алгоритмом тут и надо использовать firewall

BigKvak написал:

Мне кажется внешний IP опаснее чем внутренний, особенно если разрешен доступ к каким-либо службам извне...

ясное дело - опаснее.

Kettler написал:

Чтоб не было доступа или доступ с определённым алгоритмом тут и надо использовать firewall

дык все эти ваши "за натом" "firewall", это на самом деле одно и тоже. :)

Злоумышленник может посадить на комп руткит, ну к примеру тотже sshd, а потом просто заходить на ваш комп через порт №666. К.О. утверждает, что для защиты достаточно выполнить любое из сл. условий:

1) запретить прохождение пакетов из сети на порт №666
или
2) прибить вражеский sshd

Для выполнения первого условия необходимо и достаточно вообще все пути в iptables поDROP'ать. Оставить только прохождения пакетов на внутренние порты лишь в том случае, если соединение УЖЕ установлено. (если этого не сделать, интернетов не будет). и адрес сразу станет "серым" :)

Его можно "обелить", для какого-то одного порта. Если ещё и службу повесить, то и управлять можно. А статический он или динамический - роли вообще-то не играет, есть dyndns, и no-ip.org (посл. кстати лучше).

за натом это одно) я то не за натом и всякая зараза мне не нужна)

Kettler написал:

за натом это одно) я то не за натом и всякая зараза мне не нужна)

все за натом. ты как минимум за тремя:
1) нат в моём комп
2) нат в моём роутере
3) нат у моего провайдера.

Nat тоже есть разных видов)
популярный это куча лабатрясов сидят за 1 ип
и есть когда у каждого свой ип (типо dmz) у меня именно такой smile все входящие попадают именно на мой комп а не к провайдеру.

drBatty написал:

вы заблуждаетесь: "за NAT'ом" == серый IP. Т.е. на таком подключении нельзя поднять сервер, который будет ждать запросов. Но можно юзать клиенты, которые будут слать запросы другим серверам. качать и предавать им информацию. Два сервера не могут соединиться друг с другом напрямую, только через третий сервер с белым IP. Кроме того, два серых IP не могут обмениваться информацией, кроме как после соединения через Hamachi-сервер.

Это не совсем так. Ничто не мешает на шлюзе, на котором поднят NAT, реализовать проброс внешнего, из интернета, пакета на заранее заданный порт хоста с внутренним "серым" IP. Так что могут два серых компьютера, стоящие за NAT'ом, обмениваться информацией и без привлечения третьего сервера. Надо только настроить шлюз, роутер, для этого. Правда для самой сети Internet это будет выглядеть как обмен _роутеров_ какой-то информацией, а не серых компьютеров.

Klim написал:

Форумчане, я вас просил, чем может динамический безопасней чем статический, а вы про вирусы :O

В динамический прицельно попасть сложнее. Прицельно - значит целенаправленно, исключительно в твой компьютер, а не в соседский.
Но, если такой цели у атакующего не стоит, например, лично ты ему не интересен, а нужно максимально распространить какую заразу, спамбота, например, то достаточно чтобы компьютер на нужный запрос откликнулся. И здесь, что статика, что динамика - всё едино. Надо свой МЭ настраивать тщательно в любом случае.
Для домашнего использования - статика особо не нужна. Но:
1. Если надо организовать VPN, то желательно иметь статику.
2. Если надо опубликовать свой сервер в DNS, то опять же без статики никуда

Ну а если комп защищен броней, статик безвреден?

Klim написал:

Ну а если комп защищен броней, статик безвреден?

Да.

Klim написал:

Ну а если комп защищен броней, статик безвреден?

Долбиться, возможно, будут чаще. Особенно если в DNS объявишься. Щупать будут, например, 22й порт. Ну и виндовые RPC-порты щупать будут. Но это легко лечится правильной настройкой МЭ и переносом sshd (если он должен быть виден снаружи) на иной порт.
Иного вреда нет.

Как работают интрудеры - запускают сканер на диапазон адресов (далее - сеть). Например, пропингуют всю сеть. Получат список живых хостов. Потом переберут на этих хостах стандартные порты, на которых могут висеть слабые, не настроенные должным образом сервисы. Например, в ssh разрешен удаленный вход руту с паролем 12345. На этом хосту ничего не получится, перейдут к следующему в сети. Ну а получится - значит админ этого хоста не так хорош.

Вот тебе реальная модель типового нарушителя. Заметь, здесь нет ни статических, ни динамических адресов. Перебираются все в общем списке.
Вторая модель нарушителю интересен именно твой компьютер. То есть атака целенаправленная, на тебя. Нарушитель для этого должен узнать твои координаты. Положим, он сделает это через DNS, а там - статика (если DNS интернетный). А если DNS - локальный и динамически обновляется от DHCP, который тебе IPшник выдал, то опять же информация о тебе там есть. Но - локально. Отсюда вывод - если нарушитель в твоей локальной сети, то опять же пофигу - статика у тебя или динамика. Важна только привязка значимого имени хоста к реальному IP. Если такой связки нет, то как тебя вычислить?